Quelle différence entre NIS1 et NIS2 ?

NIS2 remplace NIS1 depuis le 18 octobre 2024 et change surtout le périmètre. NIS1 visait des opérateurs désignés au cas par cas dans 7 secteurs. NIS2 couvre automatiquement les moyennes et grandes entreprises de 18 secteurs. Elle renforce aussi les obligations : responsabilité des dirigeants, sécurité des fournisseurs, notification en 24 heures et sanctions harmonisées.

Pour savoir si vous êtes concerné par NIS2, voir NIS2 : qui est concerné ?.

NIS1 en quelques mots

La directive (UE) 2016/1148, dite NIS1, était le premier texte européen de cybersécurité transversal. En France, elle a été transposée par la loi n° 2018-133 du 26 février 2018. Elle a créé deux catégories :

• les opérateurs de services essentiels (OSE), désignés un par un par l’État dans 7 secteurs ;
• les fournisseurs de service numérique (FSN) : places de marché, moteurs de recherche et services d’informatique en nuage, à l’exclusion des micro et petites entreprises.

NIS2 abroge NIS1 avec effet au 18 octobre 2024 (article 44 de la directive (UE) 2022/2555).

Les différences principales

Sujet	NIS1	NIS2
Secteurs	7 secteurs pour les OSE, plus 3 types de services numériques	18 secteurs (11 en annexe I, 7 en annexe II)
Mode d’entrée dans le périmètre	Désignation au cas par cas par l’État	Critères automatiques de secteur et de taille, plus quelques désignations
Catégories	OSE et FSN	Entités essentielles et entités importantes
Mesures de sécurité	Principes généraux, détaillés par chaque État	10 mesures minimales listées à l’article 21
Fournisseurs	Peu abordés	Sécurité de la chaîne d’approvisionnement obligatoire
Dirigeants	Pas de responsabilité spécifique	Approbation des mesures, supervision, formation et responsabilité (article 20)
Notification d’incident	« Sans retard injustifié »	Alerte précoce en 24 h, notification en 72 h, rapport final sous un mois (article 23)
Sanctions	Fixées librement par chaque État	Plafonds minimaux harmonisés : au moins 10 M€ ou 2 % du CA mondial (essentielles), 7 M€ ou 1,4 % (importantes)

Les trois changements qui comptent le plus

1. Le périmètre devient automatique. Sous NIS1, une entreprise savait qu’elle était concernée parce que l’État le lui avait notifié. Sous NIS2, le périmètre découle de critères de secteur et de taille fixés par la directive, et les lois nationales organisent la manière dont les entités s’identifient et s’enregistrent. Beaucoup d’entreprises concernées pour la première fois ne le savent pas encore.

2. De nouveaux secteurs et de nouveaux acteurs. L’industrie manufacturière, l’agroalimentaire, la gestion des déchets, la chimie, les services postaux, la recherche et l’espace font leur entrée. Les infogérants et prestataires de sécurité gérés (MSP et MSSP) aussi : ils sont désormais dans l’annexe I. Voir Quels secteurs sont couverts par NIS2 ?.

3. La gouvernance remonte à la direction. L’article 20 prévoit que les organes de direction approuvent les mesures, en supervisent la mise en œuvre et peuvent être tenus responsables des manquements. Il prévoit aussi leur formation.

Que deviennent les anciens OSE ?

La directive permet aux États membres de classer automatiquement comme entités essentielles les opérateurs de services essentiels désignés sous NIS1 (article 3, paragraphe 1, point g). En France, la manière dont cette possibilité sera utilisée dépendra de la loi de transposition, toujours en discussion au 14 août 2026.

L’article 3 classe par ailleurs comme essentielles les grandes entités des secteurs de l’annexe I, et beaucoup d’anciens OSE sont de grandes entreprises de ces secteurs. L’application à une organisation donnée dépendra de la loi de transposition et se vérifie avec son conseil juridique. Voir Quelle est la différence entre entité essentielle et entité importante ?.

Et la LPM ?

NIS1 et NIS2 s’ajoutent au régime français des opérateurs d’importance vitale, issu de la loi de programmation militaire de 2013. Les deux régimes coexistent. Voir NIS2 remplace-t-elle la LPM ?.

Faire le point avec un expert

Le passage à NIS2 se traduit surtout par une exigence de détection et de notification rapide des incidents. Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Les mesures prises pour NIS1 restent-elles valables ?

Elles constituent une base utile, mais elles couvraient souvent un périmètre restreint. L'article 21 de NIS2 vise des mesures protégeant les réseaux et systèmes d'information que l'entité utilise pour ses activités ou la fourniture de ses services.

Les fournisseurs de service numérique de NIS1 sont-ils toujours concernés ?

Les places de marché, moteurs de recherche et services d'informatique en nuage restent dans le périmètre, désormais répartis entre l'annexe I (cloud) et l'annexe II (fournisseurs numériques), avec les règles de taille de NIS2.

NIS2 sera-t-elle elle-même modifiée ?

La Commission a proposé le 20 janvier 2026 des modifications ciblées, notamment sur le périmètre et les règles de compétence. Elles sont en discussion et ne s'appliquent pas à ce jour.

Qui contrôle le respect de NIS2 en France ?

L'ANSSI, désignée comme autorité nationale, comme elle l'était déjà pour NIS1.

NIS2 est-elle plus stricte sur la notification ?

Oui. NIS1 demandait une notification « sans retard injustifié ». NIS2 fixe un calendrier en trois temps, en 24 heures, 72 heures et un mois, et définit ce qu'est un incident « important » (article 23, paragraphe 3).